Ответ на ваш вопрос в первом предложении. Найдите того, кто понимает ;)
Надо проанализировать логи сервера, исследовать измененные файлы, посмотреть список запущенных процессов, проверить контрольные суммы бинарников системы..
rkhunter, мозги и вперед.